Kõige levinum viga mööblipassi ja GDPR-i koostoimes on see, et ettevõtted eeldavad, et tootega seotud passis ei sisalda kunagi isikuandmeid ja seega ei pööra privaatsusele tähelepanu. Praktikas täidavad töötajad väljad kontaktisiku nime ja telefoninumbriga garantii, projektijuhi või installaatori jaoks. Niipea, kui passis on QR-koodi kaudu avalikult konsulteeritav, on see isikuandmete töötlemine, mis peab vastama GDPR-ile, sõltumata mööblimäärusest endast.
Seda viga tekitab mitte hooletusetus, vaid loogiline eeldus: passis käsitleb mööblit, mitte inimesi. Seetõttu ei küsita andmete esitamisel sageli, kas väljal on isiku nimi, otsene telefoninumber või isiklik e-postiaadress. Digitaalse passi puhul, mida saab kümme aastat avalikult ja maailmalaias konsulteerida, on see küsimus palju olulisem kui tavalise pakkumise või arve puhul.
Miks see juhtub kergemini, kui te arvate
Passi koostamisel ei esita sageli üks inimene kõiki andmeid. Müügitöötaja täidab tehnilist spetsifikatsioon, projektijuht lisab hooldusjuhiseid ja keegi klienditeenindusest paneb mugavuse pärast sinna oma nime ja 06-numbri "küsimuste jaoks". Ükski neist ei kontrolli seda teiste sisestuste vastu, ja sageli pole fikseeritud hetke, mil keegi hindab tervikut enne passi avalikuks minemist. Nii tekib dokument, mis käsitleb tegelikult kapi või kirjutuslaua, kuid sisaldab ometi isikuandmeid, mis on nähtavad kõigile, kellel on nutitelefon.
Mida GDPR sellele lisaks juba säte
GDPR oli olemas ammu enne mööblimäärust ja ei muutu mööblipassi tulekuga. Kes isikuandmeid töötleb, peab muuhulgas saama määrata eesmärgi ja õiguslikud alused ning ei tohi andmeid edasi levitada rohkem kui vaja. Nimi ja mobiilnumber avalikult ligipääsetavas passis on töötlemise vorm, kus need küsimused kehtivad: kas see on vajalik passi eesmärgiks ja kas asjaomane töötaja teab, et tema andmed jäävad kümme aastat avalikult nähtavale? GDPR-i järelevalvijad, Hollandis Autoriteit Persoonsgegevens, hindavad selliseid olukordi selleks kehtivate eeskirjade alusel, sõltumata mööblimäärust enese rakendamisest.
Kuidas seda praktikas vältida
Lihtsaim meede on fikseeritud reegel: passisse tulevad ainult funktsionaalsed kontaktandmed, nagu üldine teenindusaadress või ärinumber, mitte kunagi ühe töötaja nimi või otsene number. See ei lahenda mitte ainult GDPR-i küsimust, vaid hoiab passi ka ajakohasena, kui töötaja vahetab positsioon või lahkub teenistusest. Teine meede on kontrollhetk vahetult enne passi avaldamist, mil keegi selgesõnaliselt kontrollib, kas seal on isiklikel nimel, privaattelefoninumbritel või muudel jälgitavatel andmetel. Mitme andmete esitamise puhul on see kontrollhetk sageli ainus hetk, mil keegi näeb tervikut.
Samuti on mõttekas see arutelu mitte ainult siseselt pidada, vaid ka passi hostiva poolega. Kes pääseb juurde sisestatud andmetele, kui kaua neid säilitatakse ja kas on vaja andmetöötluslepingut, on küsimused, mis kuuluvad andmeteülese teemade ülevaade olukorra järgi. Furnipas.eu juures on välja töötatud, kuidas andmeid säilitatakse ja kaitstakse; seda leiate andmekaitse ja andmeturbe lehe kohta.
Mida teha, kui see on juba juhtunud
Kui selgub, et pass on juba pikka aega sisaldanud isikuandmeid, mis sinna ei kuulunud, on esimene samm välja täita või see kustutada. Kas sellele lisaks kehtivad teatamiskohustused või muud sammud, sõltub konkreetsest olukorrast ja on asi, mida tuleks arutada juristiga või Andmekaitse Inspektsiooniga; see ei ole küsimus, millele saab üldiselt vastata. Siiski on mõttekas sellisel avastamisel kohe kontrollida, kas sama probleem esineb ka teistes, veel avaldamata pasportides, et viga ei korduks.
Kas teie ettevõte sellega riskib, sõltub sellest, kes milliseid andmeid esitab ja kuidas see protsess on korraldatud. Koos tasuta kiiranalüüsiga, mis paari küsimusega esialgse ülevaate annab näete kiiresti, kus asuvad tähelepanu nõudvad kohad, ja korduma kippuvate küsimuste kollektsioonis leiate rohkem tausta selle kohta, kuidas mööbeli toode suhestub kehtivate eeskirjadega nagu IVKS.